MANUAL INTERNO DE POLÍTICAS Y PROCEDIMIENTOS PARA ATENDER RECLAMOS POR PARTE DE TITULARES DE INFORMACIÓN PERSONAL. De conformidad con lo dispuesto en la Ley Estatutaria 1581 de 2012, por la cual se dictan disposiciones generales para la protecc protección ión de datos personales y por el decreto 1377 de 2013 que reglamenta parcialmente dicha ley, la empresa Productos Varios Produvarios S.A. (NIT. 890.305.586-3) en adelante el PRODUVARIOS S.A., informa a sus Socios, clientes, colaboradores, contratistas y/o proveedores y en general a todas las personas que hayan facilitado o que en el futuro faciliten sus datos personales (en adelante GRUPOS DE INTERES), sobre el contenido del presente manual: CONTENIDO 1. INTRODUCCIÓN. 2. OBJETO. 3. POLÍTICA DE TRATAMIENTO DE INFORMACIÓN PERSONAL. 4. MARCO LEGAL. 5. AMBITO DE APLICACIÓN 6. DATOS PERSONALES REGULADOS Y NO REGULADOS. 7. PRINCIPIOS RECTORES DE PROTECCIÓN DE DATOS. 8. DERECHOS Y PROCEDIMIENTOS. 9. PROCEDIMIENTOS DE CONSULTA, RECLAMOS Y PROCEDIBILIAD. 10. MECANISMOS SMOS DE SEGURIDAD DE LA INFORMACIÓN PERSONAL QUE REPOSA EN LAS BASES DE DATOS DEL GECC. 1. INTRODUCCIÓN El artículo 15 de la Constitución Política colombiana determina que “Todas las personas tienen derecho a su intimidad personal y familiar y a su buen n nombre, ombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas (…)”. Este prece precepto pto constitucional, consagra tres derechos fundamentales autónomos, a saber, intimidad, buen nombre y habeas data. El precepto constitucional que se desarrolla en este documento es el de “habeas data”, el cuál es el derecho que garantiza y protege todo lo relacionado con el conocimiento, actualización y rectificación de la información personal contenida en bases de datos y archivos, el cual ha sido desarrollado y protegido mediante la Ley Estatutaria 1581 de 2012. El derecho de habeas data debe entonces ent entenderse enderse como un derecho fundamental autónomo que se compone de dos elementos a saber: 1. La autodeterminación informática. 2. La libertad. 2. OBJETO Este documento tiene como objeto informar a los GRUPOS DE INTERES y en general a todas las personas que hayan facilitado o que en el futuro faciliten sus datos personales a PRODUVARIOS S.A.,, sobre la política de tratamiento de la información personal y permitir a los titulares de los datos personales ejercer su derecho de habeas data, estableciendo el procedimiento imiento necesario que estos deben de seguir si desean conocer, actualizar y rectificar los datos que se encuentren en nuestras bases de datos y/o archivos. Este documento está orientado en todo caso a proteger y garantizar todo lo concerniente al tratamiento tratamiento de datos personales, las libertades y derechos de tipo fundamental que tienen todas las personas naturales o físicas. Este documento se encuentra alineado con el decreto 1377 de 2013, reglamentario de la Ley 1581 de 2012 en cuanto al cumplimiento del av aviso iso de privacidad que se debe de brindar a los titulares de la información personal por parte de PRODUVARIOS S.A., S.A. quien actúa como responsable del tratamiento de los datos personales. Este documento comunica al titular de la información personal las polít políticas icas de tratamiento de información que le serán aplicables a sus datos personales. De igual forma mediante este manual se explicará la forma de acceder a sus datos personales y se determinará la manera como se dará tratamiento y posterior uso a los datos p personales. 3. POLÍTICA DE TRATAMIENTO DE INFORMACIÓN Para PRODUVARIOS S.A., S.A. es de suma importancia garantizar las facultades que otorga el derecho de habeas data incorporado en el artículo 15 de nuestra Constitución Política, desarrollado por la Ley 1581 de 2012 y por el decreto 1377 de 2013. De acuerdo a lo contemplado en la normatividad vigente y aplicable en materia de protección de datos, PRODUVARIOS S.A., S.A. se compromete a dar el tratamiento adecuado a todos y cada uno de los datos personales que le sea sean facilitados y que a su vez son incorporados en nuestras bases de datos y archivos con las finalidades específicas para lo cual fueron entregados. Dichas finalidades se encuentran establecidas en nuestro aviso de privacidad que usted puede consultar en la página web www.produvarios.com El tratamiento de datos personales podrá realizarse de forma directa por PRODUVARIOS S.A. y/o por quien la compañí compañía determinen para cada caso. Los titulares de los datos de carácter personales que se encuentren en las bases de datos de PRODUVARIOS S.A. tendrán derecho, en forma gratuita, a conocer, actualizar, rectificar y/o solicitar la supresión de sus datos personales, personales, mediante comunicación que se recibirá en el correo electrónico [email protected] o llamando al PBX 6905555, o si lo prefiere, enviando comunicación a la CR 36ª 10 36 en la ciudad de Yumbo. 4. MARCO LEGAL. • CONSTITUCIÓN POLÍTICA DE COLOMBIA ARTICULO 15. • LEY 1581 DE 2012. • DECRETO 1377 DE 2013 2013. 5. AMBITO DE APLICACIÓN La política de tratamiento de la información y el manual se aplicará de forma obligatoria a todos los datos de carácter personal registrados en soportes físicos o digitales que q sean susceptibles de ser tratados PRODUVARIOS S.A. como responsable de dichos datos y a su posterior uso. 6. DATOS PERSONALES REGULADOS Y NO REGULADOS Los principios y disposiciones contenidas en este documento serán aplicables a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por esta entidad. El régimen de protección de datos personales que se establece en el presente documento no será de aplicación a las siguientes bases de datos o archivos: • A las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico. Cuando estas bases de datos o archivos vayan a ser suministrados a terceros se deberá, de manera previa, informar al Titular y solicitar su autorización. En este caso los Responsables y Encargados de las bases de datos y archivos quedarán sujetos a las disposiciones contenidas en la Ley 1581. • A las bases de datos y archivos que tengan por finalidad la seguridad y defensa nacional, así como la prevención, detección, detección, monitoreo y control del lavado de activos y el financiamiento del terrorismo. • A las bases de datos que tengan como fin y contengan información de inteligencia y contrainteligencia. • A las bases de datos y archivos de información periodística y otros contenidos editoriales. • A las bases de datos y archivos regulados por la Ley 1266 de 2008. • A las bases de datos y archivos regulados por la Ley 79 de 1993. 6.1 Requisitos especiales para el tratamiento de ciertos datos personales. 6.1.1 Datos personales de niños y adolecentes contemplados en este manual: El tratamiento de datos personales de menores o adolecentes por parte de la compañía se llevará a cabo respetando siempre los siguientes requisitos: • Siempre responder y respetar el interés superior superior de los niños, niñas y adolescentes. • Siempre asegurar por parte del responsable el respeto a sus derechos fundamentales. • Que en la medida de lo posible se realice dicho tratamiento teniendo en cuenta la opinión de los menores titulares de la información información de carácter personal, en consideración de los siguientes factores: o Madurez. o Autonomía. o Capacidad para entender el fin de dicho tratamiento. o Explicar las consecuencias que conlleva el tratamiento. Atención: La valoración de las anteriores característica no podrá hacerse o realizarse de forma general y deberá hacerse caso por caso. Todo responsable, encargado tercero involucrado en el tratamiento de los datos personales de menores, deberá siempre velar por el uso adecuado de este tipo de datos personales. PRODUVARIOS S.A. en todo momento, como responsable del tratamiento de la información personal, respeta todos y cada uno de los derechos establecidos en la Constitución Política Colombiana, la Ley 1581 de 2012 y el decreto 1377 de 2013. 6.2 Otros datos personales de carácter sensible establecidos en la Ley 1581 de 2012. La compañía PRODUVARIOS S.A., S.A., identifica los datos sensibles que eventualmente recolecte o almacene con el objetivo de: Implementar especial atención y reforzar su responsabilidad frente al tratamiento de este tipo de datos, lo que se traduce en una exigencia mayor en términos de cumplimiento de los principios y los deberes establecidos por la normatividad vigente en materia de protección de datos. Establecer los niveles de seguridad técnico, legal y administrativas para tratar esa información de forma adecuada. Aumentar las restricciones de acceso y uso uso por parte del personal de la Compañía PRODUVARIOS S.A. y de terceros 7. PRINCIPIOS RECTORES DE PROTECCIÓN DE DATOS. Este manual cumple con todos y cada uno de los principios rectores contemplados en la Ley 1581 de 2012 los cuales son: I. Principio de legalidad en materia de Tratamiento de datos: El Tratamiento a que se refiere la presente ley es una actividad reglada que debe sujetarse a lo establecido en ella y en las demás disposiciones que la desarrollen; II. Principio de finalidad: El Tratamiento debe obedecer a una finalidad legítima de acuerdo con la Constitución y la Ley, la cual debe ser informada al Titular; III. Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en aus ausencia de mandato legal o judicial que releve el consentimiento. IV. Principio de veracidad o calidad: La información sujeta a Tratamiento debe ser veraz, completa, exacta, actualizada, comprobable y comprensible. Se prohíbe el tratamiento ratamiento de datos parciales, parciales, incompletos, fraccionados o que induzcan a error; V. Principio de transparencia: En el Tratamiento debe garantizarse el derecho del Titular a obtener del Responsable del Tratamiento o del Encargado del Tratamiento, en cualquier momento y sin restricciones, restriccion información acerca de la existencia de datos que le conciernan; VI. Principio de acceso y circulación restringida: El Tratamiento se sujeta a los límites que se derivan de la naturaleza de los datos personales, de las disposiciones de la presente ley y la Constitución. En este sentido, el Tratamiento sólo podrá hacerse por personas autorizadas por el Titular y/o por las personas previstas en la presente ley; Los datos personales, salvo la información pública, no podrán estar disponibles en Internet u otros ros medios de divulgación o comunicación masiva, salvo que el acceso sea técnicamente controlable para brindar un conocimiento restringido sólo a los Titulares o terceros autorizados conforme a la presente ley; VII. Principio de seguridad: La información sujeta ujeta a Tratamiento por el Responsable del Tratamiento o Encargado del Tratamiento a que se refiere la presente ley, se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su s adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento; VIII. Principio de confidencialidad: Todas las personas que intervengan en el Tratamiento de datos personales que no tengan la naturaleza de públicos están obligadas a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende el Tratamiento, pudiendo sólo realizar suministro o comunicación de datos personales cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma. 8. DERECHOS Y PROCEDIMIENTOS. La Ley Estatutaria 1581 del 17 de octubre de 2012, que dicta disposiciones generales para la protección de datos personales, establece los derechos de los interesados en relación al tratamiento de sus datos personales. Estos derechos son: • Derecho de acceder a sus datos personales que hayan sido objeto de un tratamiento. • Derecho a rectificar los datos personales que hayan sido objeto de un tratamiento. • Derecho a revocar su autorización para el tratamiento de sus datos personales, cuando en el tratamiento de los mismos no se hayan respetado los principios establecidos en la Ley 1581 de 2012. • Derecho a solicitar prueba de la autorización otorgada para el tratamiento de sus datos personales. Los derechos enunciados con anterioridad podrán ser ejercidos directamente por el titular de la información de carácter personal, su apoderado o su causahabiente según el caso. Las reglas aplicables para ejercer estos estos derechos se establecen a continuación: 8.1 Derecho de Acceso. Definición. Este derecho hace referencia a la capacidad que se reconoce mediante la ley 1581 de 2012 a toda personal natural que se encuentre interesada en conocer si sus datos personales han sido sometidos a un tratamiento, en los términos expresados en la norma, además de ejercer el derecho de conocer el origen de sus datos y si los mismos han sido cedidos o no a terceros y por ende la identificación de los cesionarios. Ejercicio del Derecho: • Este derecho es de tipo personalísimo, es decir, hace referencia a que el ejercicio del mismo ha de realizarse por el interesado o por el representante legal del titular de la información personal, que deberá actuar bajo poder. En todo momento el titular de la información deberá acreditar su identidad mediante cualquier medio que garantice una plena identificación1. (1 Debe entenderse que la acreditación de la identidad ha de realizarse mediante documentos físicos o análogos, tales como cedula de ciudadanía, c identificaciones Institucionales, etc.) etc • Los menores de edad deberán ejercer su derecho de habeas data a través de quien acredite la representación legal de los mismos. • Si se llegare a presentar una solicitud por alguna persona que no fuese e el titular de la información personal, la misma deberá ser tenida como no presentada presentada, es decir, no se brindará ningún tipo de respuesta frente a dicho requerimiento de información. • Si la relación entre el titular de la información y esta entidad como Responsable del Tratamiento se establece mediante medios electrónicos a través de los cuales se pueda obtener acceso directo a sus datos personales o preferencias, este acceso deberá contener de forma obligatoria las siguientes características: o Sin límite de plazo. o Sin costo. o Deberá otorgar al titular de la información personal la posibilidad de conocer los datos personales que de él se encuentren en línea. o Deberá permitir en todo momento la actualización en línea de los mismos. El ejercicio de este derecho es de tipo gratuito. La solicitud de ejercicio del derecho de acceso, deberá contener por lo menos: • Fecha de la solicitud. • Fotocopia de la identificación personal (Cedula de ciudadanía, identificación institucional, etc.) • Domicilio para efectos de notificación. • Documentos que acrediten la representación si es del caso (poder, registro civil, etc.) • La firma de quien solicita la información. La persona interesada en ejercer este derecho, deberá en todo caso, utilizar un medio que permita ta acreditar el envío y la recepción de la solicitud. El interesado en ejercer este derecho recibirá la información solicitada mediante cualquier medio de comunicación (electrónico o físico), correo electrónico, SMS, MMS, FAX, redes sociales o cualquier otro otro medio electrónico o físico conocido en el presente o futuro, que haga posible realizar comunicaciones. Contenido de la información que facilitará el responsable del archivo y/o base de datos. Toda información que se brinde al titular de los datos personales, independiente del soporte en esta haya sido facilitada, deberá tener las siguientes características: • Legible. • Precisa. • Verificable. • No deberá utilizar códigos o claves que requieran uso de una aplicación o dispositivo tecnológico y/o mecánico. La información facilitada debe de contener: • Las bases de datos o archivos en los que se encuentren datos personales del interesado o afectado y que hayan sido tratados por el responsable. • La información que se tenga sobre el origen de captación de los datos. • La información que se tenga sobre si los datos personales del interesado o afectado ha sido cedida a terceros. • La finalidad de los tratados. • Si la información personal se ha capturado o recabado de distintos tipos de fuentes, se deberá identificar la información que provenga de cada una de ellas. Atención: En el evento que los datos personales provengan de fuentes de acceso público2, se deberá en cada comunicación que se dirija al interesado o afectado por el tratamiento de sus datos personales, personales, el origen de captación de sus datos y la identidad del responsable del tratamiento, de igual forma se le deberá informar los derechos y facultades que se le confieren confieren.(2 Dato Público: Relativos al estado civil de las personas (registro civil), a su profesión u oficio, a su calidad de comerciante o de servidor público y aquellos que puedan obtenerse sin ningún tipo de reserva. Los datos públicos pueden obtenerse de fuentes como: registros públicos, documentos públicos, gacetas y boletines oficiales, sentencias judiciales ejecutoriadas y libres de reserva. reserva.) 8.2 Derechos de Rectificación y Cancelación. Definición: Estos derechos hacen referencia a la capacidad que se reconoce mediante la Ley 1581 de 2012 a toda personal natural que se encuentre interesada interesada en comprobar frente al responsable del tratamiento de la información, la exactitud y veracidad de su datos, rectificando de esta forma todos o parte de sus datos personales recolectados cuando los mismos resulten inexactos, estén incompletos o conlle conlleven ven a error. Los titulares de la información de carácter personal deberán indicar a qué datos se encuentra solicitando la corrección que desea se realice y además acompañar la documentación que justifique lo solicitado. Igualmente el titular de la información podrá solicitar la supresión o cancelación de sus datos personales cuando el tratamiento de los mismos por parte del responsable o encargado resulte excesivo e inclusive inadecuado. Los datos de los titulares de la información serán conservados durante los tiempos previstos en las normas aplicables y/o dependiendo del caso, de las relaciones contractuales entre la persona titular de la información personal y el responsable del tratamiento. Ejercicio del derecho. • Este derecho es de tipo personalísimo, es decir, hace referencia a que el ejercicio del mismo ha de realizarse por el interesado o por el representante legal del titular de la información personal, que deberá actuar bajo poder. En todo momento el titular de la información deberá acreditar su identidad mediante cualquier medio que garantice una plena identificación3. (3 Debe entenderse que la acreditación de la identidad ha de realizarse mediante documentos físicos o análogos, tales como cedula de ciudadanía, identificaciones Institucionales, tucionales, etc.). etc.) • Los menores de edad deberán ejercer su derecho de habeas data a través de quien acredite la representación legal de los mismos. • Si se llegare a presentar una solicitud por alguna persona que no fuese el titular de la información personal, la misma deberá ser tenida como no presentada presentada, es decir, no se brindará ningún tipo de respuesta frente a dicho requerimiento de información. El ejercicio de este derecho es de tipo gratuito. La solicitud de ejercicio del derecho d de e acceso, deberá contener por lo menos: • Fecha de la solicitud. • Fotocopia de la identificación personal (Cedula de ciudadanía, identificación institucional, etc.) • Domicilio para efectos de notificación. • Documentos que acrediten la representación si es del caso (poder, registro civil, etc.) • La firma de quien solicita la información. La persona interesada en ejercer este derecho, deberá en todo caso, utilizar un medio que permita acreditar el envío y la recepción de la solicitud. La solicitud de rectificación ificación deberá indicar por parte del titular de la información personal, los datos que se deben rectificar o corregir. El titular de la información deberá acompañar su solicitud de la documentación o prueba necesaria que justifique dicha solicitud de rectificación, tificación, excepto que dicha documentación o prueba dependa exclusivamente del consentimiento del interesado o el afectado. Lo anterior debido a que las respuestas que brinde el interesado o el afectado en el momento de captar o recabar su información es de tipo facultativo. La solicitud de cancelación deberá indicar por parte de del titular de la información personal los datos que se deben cancelar, aportando si es del caso la documentación o prueba que lo justifique. La persona interesada en ejercer este derecho, deberá en todo caso, utilizar un medio que permita acreditar el envío y la recepción de la solicitud. El interesado en ejercer este derecho recibirá la información solicitada mediante cualquier medio de comunicación (electrónico o físico), correo electrónico, SMS, MMS, FAX, redes sociales o cualquier otro medio electrónico o físico conocido en el presente o futuro, que haga posible realizar comunicaciones. La cancelación dará lugar al bloqueo de sus datos y a aplicar procedimientos de reserva que tengan como fin que se de tratamiento nuevamente a dichos datos, conservándolos por parte del responsable con el único fin de que los mismos sean accesibles a autoridades administrativas o judiciales para que permitan encausar la atención de posibles reclamaciones o responsabilidades que pueda tener el responsable o encargado del tratamiento, siempre obedeciendo el plazo de prescripción que exista sobre los mismos. Cumplido este plazo, debe procederse por parte del responsable a la cancelación definitiva va de la información personal del interesado o afectado que repose en nuestras bases de datos o archivos. 9. PROCEDIMIENTOS DE CONSULTA Y RECLAMOS Y PROCEDIBILIDAD. Conforme con lo indicado en el artículo 14 y siguientes de la Ley 1581 de 2012, se establecen ecen los siguientes procedimientos para cumplir con las consultas o reclamos que presenten los titulares de la información: 9.1 Consultas. Los Titulares o sus causahabientes podrán consultar la información personal del Titular que repose en cualquier base de datos, sea esta del sector público o privado. El Responsable del Tratamiento o Encargado del Tratamiento deberán suministrar a estos toda la información contenida en el registro individual o que esté vinculada con la identificación del Titular. La consulta ulta se formulará por el medio habilitado por el Responsable del Tratamiento o Encargado del Tratamiento, siempre y cuando se pueda mantener prueba de esta. La consulta será atendida en un término máximo de diez (10) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al interesado, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término. Parágrafo. Las disposiciones contenidas en leyes especiales o los reglamentos expedidos por el Gobierno Nacional podrán establecer términos inferiores, atendiendo a la naturaleza del dato personal. 9.2 Reclamos. El Titular o sus causahabientes que consideren que la información contenida en una base de datos debe ser objeto de corrección, actualización o supresión, o cuando adviertan el presunto incumplimiento de cualquiera de los deberes contenidos contenidos en esta ley, podrán presentar un reclamo ante el Responsable del Tratamiento o el Encargado del Tratamiento el cual será tramitado bajo las siguientes reglas: 1. El reclamo se formulará mediante solicitud dirigida al Responsable del Tratamiento o al Encargado del Tratamiento, con la identificación del Titular, la descripción de los hechos que dan lugar al reclamo, la dirección, y acompañando los documentos que se quiera hacer valer. Si el reclamo resulta incompleto, se requerirá al interesado dentro dent de los cinco (5) días siguientes a la recepción del reclamo para que subsane las fallas. Transcurridos dos (2) meses desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. En n caso de que quien reciba el reclamo no sea competente para resolverlo, dará traslado a quien corresponda en un término máximo de dos (2) días hábiles e informará de la situación al interesado. 2. Una vez recibido el reclamo completo, se incluirá en la base base de datos una leyenda que diga "reclamo en trámite" y el motivo del mismo, en un término no mayor a dos (2) días hábiles. Dicha leyenda deberá mantenerse hasta que el reclamo sea decidido. 3. El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recibo. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al interesado los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término. Procedibilidad: El Titular o causahabiente sólo podrá elevar queja ante la Superintendencia de Industria y Comercio una vez haya agotado el trámite de consulta o reclamo mo ante el Responsable del Tratamiento o Encargado del Tratamiento. La persona interesada o afectada y que desee ejercer cualquiera de los derechos citados en este documento, podrá hacerlo por comunicación escrita a la entidad responsable del tratamiento de e su información personal, acompañando dicha solicitud de su firma y copia de la identificación personal o documento similar análogo. 10. MECANISMOS DE SEGURIDAD DE LA INFORMACIÓN PERSONAL QUE REPOSA EN LAS BASES DE DATOS PRODUVARIOS S.A. La compañía cuenta con mecanismos y herramientas tecnológicas para controlar el acceso a las bases de datos corporativas donde reposa la información de nuestros públicos de interés.